Infini Hack: Hong Kong Stablecoin Neobank perd 49,5 millions de dollars en exploitation dévastatrice, soulignant les vulnérabilités Defi

Le 24 février 2025, Infini, un stablecoin Neobank Neobank basé à Hong Kong, crypto-monnaie et finance traditionnelle, a connu une violation de sécurité dévastatrice

Hong Kong stablecoin neobank Infini was reportedly breached on February 24, with the attacker making away with approximately $49.5 million in USD Coin (USDC) as earlier reported.

Le stablecoin de Hong Kong Neobank Infini aurait été violé le 24 février, l'attaquant étendant avec environ 49,5 millions de dollars en pièce USD (USDC) comme indiqué précédemment.

Blockchain security firm CertiK first flagged the exploit at 3:18 AM UTC, sending ripples of concern through the decentralized finance (DeFi) community. The incident highlights persistent vulnerabilities in the crypto space, especially following the recent $1.4 billion Bybit hack on February 21.

La société de sécurité de la blockchain, Certik, a signalé pour la première fois l'exploit à 3 h 18 UTC, envoyant des ondulations de préoccupation par le biais de la communauté des finances décentralisées (DEFI). L'incident met en évidence des vulnérabilités persistantes dans l'espace cryptographique, en particulier après le récent hack de 1,4 milliard de dollars le 21 février.

The Infini Attack

L'attaque Infini

The attack targeted an Infini-related smart contract on the Ethereum blockchain, specifically the address 0x9A79f4105A4e1A050Ba0b42F25351D394fA7E1DC.

L'attaque a ciblé un contrat intelligent lié à l'infini sur la blockchain Ethereum, en particulier l'adresse 0x9a79f4105a4e1a050ba0b42f25351d394fa7e1dc.

According to security analysts from CertiK, Cyvers, Blocksec, and PeckShield, a hacker gained unauthorized access by exploiting retained administrative privileges within the contract. The attacker, operating from the address 0xc49b5e5b9da66b9126c1a62e9761e6b2147de3e1, had initially developed the smart contract for Infini but retained control, unbeknownst to the project.

Selon les analystes de sécurité de CERTIK, CYVERS, BLOCKSEC et PECKSHIELD, un pirate a acquis un accès non autorisé en exploitant les privilèges administratifs conservés dans le contrat. L'attaquant, opérant à partir de l'adresse 0xc49B5E5B9DA66B9126C1A62E9761E6B2147DE3E1, avait initialement développé le contrat intelligent pour Infini mais a conservé le contrôle, à l'insu du projet.

This insider access allowed the hacker to manipulate the contract’s settings, ultimately draining $49.5 million in USDC from what is believed to be the Morpho MEV Capital Usual USDC Vault.

Cet accès à l'initié a permis au pirate de manipuler les paramètres du contrat, épuisant finalement 49,5 millions de dollars en USDC à partir de ce qui est considéré comme le coffre-fort USDC habituel de la capitale Morpho Mev.

After the theft, the hacker swiftly converted the stolen USDC into Dai (DAI) and then purchased 17,696 Ethereum (ETH), valued at around $49 million at the time.

Après le vol, le pirate a rapidement converti l'USDC volé en DAI (DAI), puis a acheté 17 696 Ethereum (ETH), d'une valeur d'environ 49 millions de dollars à l'époque.

It seems that the stablecoin bank @0xinfini was hacked and 49.5M $USDC was stolen.

Il semble que la banque de stablecoin @ 0xinfini ait été piratée et que 49,5 millions de dollars USDC ont été volés.

The hacker swapped 49.5M $USDC for 49.5M $DAI and bought 17,696 $ETH.

Le pirate a échangé 49,5 m $ USDC pour 49,5 m $ DAI et a acheté 17 696 $ eth.

The 17,696 $ETH was transferred to a new wallet "0xfcc8…6e49".https://t.co/AdAyB3q5LA pic.twitter.com/Rft6ZDtDWO

Le 17 696 $ eth a été transféré dans un nouveau portefeuille "0xfcc8… 6e49" .https: //t.co/adayb3q5la pic.twitter.com/rft6zdtdwo

— Lookonchain (@lookonchain) February 24, 2025

- Lookonchain (@lookonchain) 24 février 2025

The funds were then transferred to a new wallet, 0xfcc8…6e49, and split across multiple addresses, with some being initially funded into Tornado Cash, a privacy tool often used to obscure cryptocurrency transactions. However, at the time of reporting, the ETH remained unmixed, indicating ongoing efforts to trace the hacker’s movements.

Les fonds ont ensuite été transférés dans un nouveau portefeuille, 0xfcc8… 6E49, et divisés sur plusieurs adresses, certaines étant initialement financées en espèces de tornade, un outil de confidentialité souvent utilisé pour obscurcir les transactions de crypto-monnaie. Cependant, au moment du reportage, l'ETH est resté sans mélange, indiquant des efforts continus pour retracer les mouvements du pirate.

Infini’s Response

Launched in 2024, Infini is a digital-only neobank that offers stablecoin transactions, crypto card services, and high-yield accounts. The neobank has now issued an official statement on the security breach, stating that “all transfers, deposits, withdrawals, and payments remain in normal usage and working status.”

Lancé en 2024, Infini est une Neobank uniquement numérique qui propose des transactions de stablecoin, des services de cartes cryptographiques et des comptes à haut rendement. La NeoBank a maintenant publié une déclaration officielle sur la violation de la sécurité, déclarant que «tous les transferts, dépôts, retraits et paiements restent dans l'utilisation normale et le statut de travail».

We're aware of reports on a security compromise affecting Infini. We're deeply sorry for the concern this causes – our team is working around the clock to investigate and secure all systems at the moment.

Nous sommes conscients des rapports sur un compromis de sécurité affectant Infini. Nous sommes profondément désolés pour la préoccupation que cela cause - notre équipe travaille au moment de l'étude et de la sécurisation de tous les systèmes pour le moment.

All transfers, deposits, withdrawals, and payments remain in normal usage…

Tous les transferts, dépôts, retraits et paiements restent en usage normal…

— Infini (@0xinfini) February 24, 2025

- Infini (@ 0xinfini) 24 février 2025

In a post on X, Infini founder Christian Li took full responsibility for the exploit, clarifying that the breach did not result from a private key leak but rather his negligence in transferring authority from the developer to the project. “My personal private key has not been leaked, so there is no need to worry too much. I was negligent when transferring the authority before. It is ultimately my responsibility. This has sounded the alarm… There is no problem with liquidity. Full compensation can be paid, and the funds are being traced,” he wrote.

Dans un article sur X, le fondateur d'Infini, Christian Li, a pris l'entière responsabilité de l'exploit, précisant que la violation n'a pas résulté d'une fuite de clé privée mais plutôt de sa négligence dans le transfert de l'autorité du développeur au projet. «Ma clé privée personnelle n'a pas été divulguée, il n'y a donc pas besoin de trop s'inquiéter. J'étais négligent lors du transfert de l'autorité auparavant. C'est finalement ma responsabilité. Cela a sonné l'alarme… il n'y a pas de problème de liquidité. Une compensation complète peut être versée et les fonds sont tracés », a-t-il écrit.

Despite this reassurance, some on-chain analyses, including those from PeckShield, suggest a potential private key compromise, adding another layer of complexity to the investigation.

Malgré cette assurance, certaines analyses sur chaîne, y compris celles de Peckshield, suggèrent un compromis potentiel de clé privée, ajoutant une autre couche de complexité à l'enquête.

Impact of the Exploit

Impact de l'exploit

The exploit has raised serious questions about private key management, smart contract security, and the risks of insider threats in DeFi platforms.

L'exploit a soulevé de sérieuses questions sur la gestion des clés privées, la sécurité des contrats intelligents et les risques des menaces d'initiés dans les plateformes Defi.

As a neobank that has experienced meteoric growth, boasting a 500% monthly increase in active users since its inception, particularly after launching its crypto card campaigns, Infini now faces a critical test of its resilience. The neobank’s high-yield products, designed to attract liquidity, inadvertently provided the conditions for the exploit, amplifying the financial impact.

En tant que Neobank qui a connu une croissance fulgurante, avec une augmentation mensuelle de 500% des utilisateurs actifs depuis sa création, en particulier après avoir lancé ses campagnes de cartes cryptographiques, Infini fait maintenant face à un test critique de sa résilience. Les produits à haut rendement de Neobank, conçus pour attirer des liquidités, ont fourni par inadvertance les conditions de l'exploit, amplifiant l'impact financier.

This incident follows closely on the heels of the Bybit exchange hack, which saw a staggering $1.4 billion drained through manipulated smart contract logic. The similarity in tactics, namely splitting and mixing ETH, has led on-chain investigator ZachXBT to speculate that

Cet incident suit de près dans les talons du piratage d'échange de bilan, qui a vu 1,4 milliard de dollars stupéfiant via une logique de contrat intelligente manipulée. La similitude des tactiques, à savoir la séparation et le mélange d'ETH, a conduit l'investigateur sur chaîne ZachxBT pour spéculer que